Bundesnetzagentur & EU AI Act – wer kontrolliert die KI-Pflichten in Deutschland?

Der EU AI Act ist seit dem 1. August 2024 in Kraft – und seit dem 2. Februar 2025 gilt mit Artikel 4 die erste echte Unternehmenspflicht: KI-Kompetenz sicherstellen und dokumentieren. Doch eine Frage, die viele Unternehmen stellen, bleibt oft unbeantwortet: Wer kontrolliert das eigentlich? Welche Behörde ist in Deutschland zuständig, was darf sie verlangen – und wie realistisch ist eine Prüfung?

Dieser Artikel gibt einen ehrlichen Überblick über den aktuellen Stand der nationalen KI-Aufsicht, erklärt, was Art. 4 konkret bedeutet, und zeigt, wie Unternehmen ihre Compliance jetzt schon nachweisbar aufstellen können. *Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Wenden Sie sich für Ihre konkrete Situation an eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.*

Die EU-Ebene: Das KI-Büro in Brüssel

Oberste Aufsichtsinstanz für den EU AI Act ist das KI-Büro der EU-Kommission (European AI Office), das im Februar 2024 eingerichtet wurde. Das KI-Büro überwacht vor allem:

• Allzweck-KI-Modelle (GPAI) wie große Sprachmodelle (z. B. GPT, Gemini, Claude)
• Die einheitliche Anwendung des AI Act über Mitgliedstaaten hinweg
• Die Entwicklung technischer Standards und Leitlinien

Für die meisten Unternehmen, die KI-Systeme *einsetzen* (und keine Modelle entwickeln), ist das KI-Büro weniger direkt relevant. Zuständig für die Marktüberwachung vor Ort sind die nationalen Behörden der jeweiligen Mitgliedstaaten.

Die nationale Ebene: Bundesnetzagentur als zentrale Koordinierungsstelle

Für Deutschland hat die Bundesregierung die Bundesnetzagentur (BNetzA) als zentrale Anlaufstelle für den EU AI Act vorgesehen. Das ist nicht zufällig: Die Bundesnetzagentur ist bereits für Telekommunikation, Energie und Post zuständig und hat Erfahrung in der technisch-regulatorischen Marktaufsicht.

Wichtiger Hinweis zum aktuellen Stand: Die formale gesetzliche Grundlage für die nationale KI-Aufsichtsarchitektur in Deutschland befindet sich Stand Mitte 2026 noch im Aufbau. Ein nationales Durchführungsgesetz, das die Zuständigkeiten verbindlich festlegt, war zum Zeitpunkt der Veröffentlichung dieses Artikels noch nicht abschließend verabschiedet. Die Bundesnetzagentur nimmt ihre Koordinierungsrolle faktisch bereits wahr, der gesetzgebungstechnische Rahmen wird jedoch noch konsolidiert.

Was die BNetzA konkret tut und tun wird:

• Marktüberwachung: Prüfung, ob KI-Systeme die Anforderungen des AI Act erfüllen
• Koordinierung mit anderen Behörden (Datenschutzbehörden, Gewerbeaufsicht, sektorspezifische Aufsichtsstellen)
• Anlaufstelle für Beschwerden von Nutzern und Unternehmen
• Meldestelle für schwerwiegende Vorfälle mit Hochrisiko-KI-Systemen

Neben der Bundesnetzagentur bleiben bestehende Behörden in ihren jeweiligen Zuständigkeitsbereichen relevant – etwa Datenschutzbehörden bei KI-Systemen, die personenbezogene Daten verarbeiten, oder sektorspezifische Aufsichtsstellen in Bereichen wie Medizin oder Finanzen.

Was Artikel 4 EU AI Act konkret verlangt – und seit wann

Artikel 4 ist vergleichsweise knapp formuliert, aber inhaltlich anspruchsvoll:

*„Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Namen mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen."*

Anwendbar seit: 2. Februar 2025 – ohne Übergangsfrist, ohne Ausnahme nach Unternehmensgröße oder Branche.

„KI-Kompetenz" bedeutet dabei mehr als ein allgemeines Technikverständnis. Der AI Act nennt explizit: technische Kenntnisse, Verständnis für Chancen und Risiken von KI, kritische Bewertungsfähigkeit. Der Nachweis soll proportional zum Risiko des eingesetzten KI-Systems sein.

In der Praxis bedeutet das:

• Eine strukturierte Schulung (nicht nur ein kurzes Memo oder eine Team-Besprechung)
• Eine Erfolgskontrolle (Wissenstest, Prüfung)
• Eine Dokumentation (wer wurde wann geschult, mit welchem Ergebnis?)

Eine ausführliche Einführung in die Anforderungen finden Sie in unserem Artikel EU AI Act Artikel 4 einfach erklärt. Wer prüfen möchte, ob das eigene Unternehmen betroffen ist, liest weiter in KI-Kompetenz-Pflicht – wen betrifft Art. 4 EU AI Act konkret?.

Bußgelder und Sanktionen – eine ehrliche Einordnung

Vorsicht vor pauschalen Horrorzahlen: Der EU AI Act enthält einen gestaffelten Bußgeldrahmen, der nach Art des Verstoßes differenziert – nicht jeder Art.-4-Verstoß führt automatisch zu Millionenbußen.

Die relevanten Größenordnungen aus dem AI Act (Art. 99 ff.):

| Verstoßkategorie | Bußgeld (maximal) | |---|---| | Verbotene KI-Praktiken (Art. 5) | 35 Mio. € oder 7 % des weltweiten Jahresumsatzes | | Verstöße bei Hochrisiko-KI-Systemen | 15 Mio. € oder 3 % des Jahresumsatzes | | Falsche oder irreführende Informationen gegenüber Behörden | 7,5 Mio. € oder 1 % des Jahresumsatzes |

Für Art. 4 gilt: Es gibt keinen eigenständigen Bußgeldtatbestand, der allein an die fehlende KI-Kompetenzschulung anknüpft. Allerdings kann eine fehlende Schulungsdokumentation bei einer Behördenprüfung als erschwerender Umstand gewertet werden – und das Gesamtbild des Unternehmens in Bezug auf Compliance negativ beeinflussen.

Realistisch betrachtet: Die Aufsichtsbehörden sind derzeit noch im Aufbau. Eine flächendeckende Bußgeldwelle gegen KMUs wegen fehlender Art.-4-Nachweise ist nicht das wahrscheinlichste Szenario der nächsten Monate. Dennoch gilt: Wer *jetzt* strukturiert handelt, muss sich keine Sorgen machen – wer wartet, trägt das Risiko.

Welche Unternehmen sollten besonders aufmerksam sein?

Das Prinzip der Risikobasierung zieht sich durch den gesamten AI Act. Je risikoreicher das eingesetzte KI-System, desto schärfer die Anforderungen – und desto wahrscheinlicher eine behördliche Prüfung.

Besonders im Fokus sind Unternehmen, die:

• KI-Systeme in Hochrisikobereichen betreiben (Personalentscheidungen, Kreditwürdigkeitsprüfung, medizinische Diagnoseunterstützung, Sicherheitskritische Infrastruktur)
• Anbieter von KI-Produkten sind (nicht nur Nutzer)
• Bereits andere Regulierungskontakte mit Behörden haben (Datenschutz, Finanzaufsicht)

Für Unternehmen, die KI-Tools wie Textgeneratoren, Übersetzungsprogramme oder Chatbots im Büroalltag nutzen, ist das Risikoprofil niedriger – aber die Schulungspflicht aus Art. 4 gilt trotzdem.

Wie Unternehmen KI-Kompetenz nachweisbar dokumentieren

Die gute Nachricht: Artikel 4 schreibt kein bestimmtes Format vor. Es gibt keine staatlich vorgeschriebene Zertifizierungsstelle, kein Pflichtformular. Entscheidend ist, dass die Maßnahmen nachvollziehbar, verhältnismäßig und dokumentiert sind.

Eine belastbare Dokumentation enthält:

1. Schulungsinhalt: Was wurde vermittelt? (Grundlagen KI, Chancen und Risiken, Umgang mit spezifischen Systemen)
2. Teilnehmerliste: Wer hat teilgenommen? Mit Datum.
3. Erfolgskontrolle: Gab es einen Wissenstest oder eine Prüfung? Mit Ergebnis.
4. Personalisierter Nachweis: Jede Person erhält ein individuelles Zertifikat, das Name, Datum und Thema ausweist.
5. Wiederholung: Gibt es einen Plan zur regelmäßigen Auffrischung, wenn sich KI-Systeme oder rechtliche Anforderungen ändern?

Wichtig zur Einordnung: Das KI-Kompetenz-Zertifikat von ki-zertifizieren.de ist ein privatwirtschaftliches Schulungs- und Nachweisangebot. Es ist keine staatliche Zertifizierung, keine behördliche Akkreditierung und kein Dokument der Bundesnetzagentur. Es hilft Unternehmen dabei, die Dokumentationspflicht nach Art. 4 mit einem strukturierten Nachweis zu erfüllen – mehr nicht, aber auch nicht weniger.

Fazit: Aufsicht im Aufbau, Pflichten gelten jetzt

Die KI-Aufsichtsarchitektur in Deutschland nimmt Form an. Die Bundesnetzagentur ist als zentrale Koordinierungsstelle gesetzt, die nationalen Gesetzgebungsprozesse laufen. Bis alles vollständig steht, befinden wir uns in einer Phase des Übergangs – aber die Pflichten aus dem EU AI Act, insbesondere Art. 4, gelten bereits heute und uneingeschränkt.

Unternehmen, die jetzt handeln, sind doppelt im Vorteil: Sie erfüllen die gesetzliche Pflicht – und sie können das im Fall einer Prüfung auch beweisen.

Noch nicht sicher, wo Ihr Unternehmen steht?

Der kostenlose KI-Kompetenz-Schnellcheck gibt Ihnen in unter 5 Minuten eine erste Einschätzung Ihres Compliance-Stands – ohne Anmeldung, ohne Verkaufsdruck.

→ Zum kostenlosen Schnellcheck

Wenn Sie den nächsten Schritt gehen möchten: Das KI-Kompetenz-Zertifikat nach Art. 4 von ki-zertifizieren.de umfasst 5–7 Lernmodule, eine Abschlussprüfung und ein personalisiertes PDF-Zertifikat mit Verifizierungs-ID – in unter 60 Minuten, für 47 € pro Person. Für Teams steht das Firmenportal mit zentraler Verwaltung und Staffelpreisen zur Verfügung.

→ Jetzt KI-Kompetenz-Zertifikat erwerben (47 €)